# Siber Güvenlik Olgunluk Modeli Nedir? GAP Analizi, Güvenlik Seviyesi Ölçümü ve Kurumsal Yol Haritası **URL:** https://securesys.com.tr/tr/bilgi-merkezi/siber-guvenlik-uyum-danismanlik/siber-guvenlik-olgunluk-modeli-gap-analizi ![Siber Güvenlik Olgunluk Modeli Nedir? GAP Analizi, Güvenlik Seviyesi Ölçümü ve Kurumsal Yol Haritası](/images/bilgi-merkezi/covers/cover-uyum-12.webp) ### Siber Güvenlik Olgunluk Modeli Nedir? **Siber güvenlik olgunluk modeli, bir kuruluşun siber güvenlik süreçlerini, teknik kontrollerini, insan kaynağını ve yönetim kabiliyetlerini belirli kriterlere göre değerlendirerek mevcut güvenlik seviyesini ölçmek ve iyileştirme alanlarını belirlemek için kullanılan sistematik yaklaşımdır.** Olgunluk değerlendirmesi yalnızca güvenlik ürünlerinin mevcut olup olmadığını incelemez. Kuruluşun bu ürünleri nasıl yönettiğini, güvenlik olaylarına ne kadar hızlı müdahale edebildiğini, risklerini nasıl değerlendirdiğini ve güvenlik süreçlerini ne ölçüde sürdürülebilir hale getirdiğini de analiz eder. Örneğin iki farklı kuruluş aynı firewall, SIEM ve EDR ürünlerini kullanıyor olabilir. Ancak bir kuruluş güvenlik olaylarını düzenli olarak izlerken diğer kuruluş alarmları değerlendirmiyor olabilir. Bu iki kuruluşun teknik ürün envanteri benzer olsa bile operasyonel güvenlik olgunluğu farklıdır. **Kısa cevap:** Siber güvenlik olgunluk analizi; mevcut durumun ölçülmesi, hedef güvenlik seviyesinin belirlenmesi, eksikliklerin ortaya çıkarılması ve risk temelli iyileştirme yol haritasının hazırlanması sürecidir. ### \1. Siber Güvenlik Olgunluğu Neden Önemlidir? Kuruluşların siber güvenlik yatırımları her zaman aynı seviyede değildir. Bazı kuruluşlar çok sayıda güvenlik teknolojisine yatırım yaparken temel güvenlik süreçlerini yeterince geliştirmemiş olabilir. Örneğin: - Firewall bulunur ancak kural gözden geçirmesi yapılmaz. - EDR kullanılır ancak alarmlar izlenmez. - Yedekleme vardır ancak geri yükleme testi yapılmaz. - Sızma testi gerçekleştirilir ancak bulgular kapatılmaz. - ISO 27001 belgesi vardır ancak risk kayıtları güncel değildir. Bu durumlarda ürün veya belge varlığı, tek başına etkin güvenlik anlamına gelmez. #### Olgunluk analizinin temel faydaları Güvenlik eksikliklerini belirlemek. Yatırım önceliklerini oluşturmak. Operasyonel riskleri azaltmak. Yönetim raporlamasını geliştirmek. Güvenlik kontrollerinin etkinliğini ölçmek. Uyum çalışmalarını desteklemek. Sürekli iyileştirme sağlamak. ### \2. Siber Güvenlik Olgunluk Analizi ile GAP Analizi Arasındaki Fark Olgunluk analizi ve GAP analizi birbirini tamamlayan ancak farklı amaçlara sahip değerlendirmelerdir. | Kriter | Olgunluk Analizi | GAP Analizi | | --- | --- | --- | | Temel amaç | Güvenlik yeteneklerinin gelişmişlik seviyesini ölçmek | Mevcut durum ile hedef gereksinimler arasındaki farkı belirlemek | | Yaklaşım | Seviye ve performans değerlendirmesi | Gereksinim karşılaştırması | | Çıktı | Olgunluk puanı ve değerlendirme | Eksiklik listesi | | Kullanım | Stratejik gelişim | Uyum ve iyileştirme planı | | Örnek | SOC olgunluğu 2/5 | Olay müdahale prosedürü eksik | #### Örnek Bir kuruluşun güvenlik olaylarını izlemek için SIEM kullandığını düşünelim. GAP analizi, olay müdahale prosedürünün eksik olduğunu gösterebilir. Olgunluk analizi ise SIEM alarmlarının manuel değerlendirildiğini, kullanım senaryolarının düzenli güncellenmediğini ve müdahale performansının ölçülmediğini ortaya koyabilir. **Sonuç:** GAP analizi neyin eksik olduğunu, olgunluk analizi ise mevcut kabiliyetin ne kadar gelişmiş olduğunu anlamaya yardımcı olur. ### \3. Siber Güvenlik Olgunluk Seviyeleri Nelerdir? Kuruluşlar değerlendirme amacıyla beş seviyeli bir olgunluk modeli kullanabilir. Aşağıdaki model örnek bir kurumsal değerlendirme yaklaşımıdır; NIST CSF 2.0 veya ISO 27001 tarafından tanımlanmış resmî beş seviyeli sertifikasyon sistemi değildir. | Seviye | Tanım | Genel özellik | | --- | --- | --- | | 1 | Başlangıç | Güvenlik faaliyetleri düzensiz ve kişilere bağımlı | | 2 | Tekrarlanabilir | Bazı temel süreçler oluşturulmuş | | 3 | Tanımlı | Süreçler yazılı ve standartlaştırılmış | | 4 | Yönetilen | Kontroller ölçülüyor ve düzenli izleniyor | | 5 | Optimize | Sürekli iyileştirme ve ileri otomasyon uygulanıyor | #### Seviye 1: Başlangıç Güvenlik faaliyetleri çoğunlukla olay meydana geldikten sonra gerçekleştirilir. #### Seviye 2: Tekrarlanabilir Temel kontroller uygulanmaya başlamıştır ancak uygulamalar her sistemde aynı seviyede değildir. #### Seviye 3: Tanımlı Politikalar, prosedürler ve sorumluluklar belirlenmiştir. #### Seviye 4: Yönetilen Güvenlik performansı ölçülür ve yönetime düzenli olarak raporlanır. #### Seviye 5: Optimize Güvenlik süreçleri ölçüm sonuçları, tehdit istihbaratı ve operasyonel deneyimlerle sürekli geliştirilir. ### \4. Her Kuruluş Seviye 5 Olmalı mı? Hayır. Olgunluk hedefi kuruluşun risklerine, faaliyetlerine, büyüklüğüne ve kaynaklarına göre belirlenmelidir. Örneğin küçük bir danışmanlık şirketinin güvenlik gereksinimleri ile kritik enerji altyapısı işleten bir kuruluşun gereksinimleri aynı değildir. #### Hedef belirlenirken Kritik varlıklar. Sektör. Düzenleyici yükümlülükler. Tehdit profili. İş sürekliliği gereksinimleri. Bütçe. İnsan kaynağı. #### Önemli nokta Olgunluk değerlendirmesinde amaç her alanda en yüksek puanı almak değil, risklere uygun ve sürdürülebilir güvenlik seviyesi oluşturmaktır. ### \5. NIST Cybersecurity Framework 2.0 Nedir? NIST Cybersecurity Framework (CSF) 2.0, kuruluşların siber güvenlik risklerini yönetmelerine yardımcı olmak amacıyla geliştirilmiş bir çerçevedir. NIST CSF 2.0, altı temel fonksiyondan oluşur. #### Altı temel fonksiyon - Govern - Identify - Protect - Detect - Respond - Recover Bu fonksiyonlar güvenlik yönetiminin farklı aşamalarını kapsar. #### Önemli nokta NIST CSF 2.0, beş seviyeli bir olgunluk sertifikasyon modeli değildir. CSF Profiles ve dört uygulama seviyesi içeren CSF Tiers yaklaşımı, risk yönetimi uygulamalarının değerlendirilmesini destekler. Kuruluşlar ayrıca kendi iç değerlendirmeleri için puanlama metodolojileri oluşturabilir. ### \6. Govern: Siber Güvenlik Yönetişimi Govern fonksiyonu, kuruluşun siber güvenlik risklerini nasıl yönettiğine odaklanır. #### Değerlendirme alanları Güvenlik stratejisi. Politikalar. Sorumluluklar. Risk yönetimi. Tedarikçi güvenliği. Yönetim gözetimi. #### Örnek Kuruluşta bilgi güvenliği sorumlusu bulunuyor. Ancak kritik risklerin yönetime raporlanmasına yönelik standart bir süreç yok. Bu durum yönetişim olgunluğunun geliştirilmesi gerektiğini gösterebilir. #### Kontrol soruları Siber güvenlik stratejisi tanımlandı mı? Yönetim sorumlulukları belirlendi mi? Risk iştahı oluşturuldu mu? Kritik riskler düzenli değerlendiriliyor mu? ### \7. Identify: Varlık ve Risklerin Belirlenmesi Identify fonksiyonu, kuruluşun korunması gereken varlıklarını ve risklerini anlamasını sağlar. #### Temel alanlar Donanım envanteri. Yazılım envanteri. Bulut varlıkları. Veri sınıflandırması. Kritik iş süreçleri. Sistem bağımlılıkları. Risk değerlendirmesi. #### Örnek Bir kuruluşun internete açık sunucuları bulunuyor. Ancak bazı sunucular envanterde yer almıyor. Bu durum varlık yönetimi ve saldırı yüzeyi yönetimi açısından eksiklik oluşturabilir. ### \8. Protect: Koruyucu Güvenlik Kontrolleri Protect fonksiyonu, siber güvenlik risklerinin azaltılmasına yönelik koruyucu tedbirleri kapsar. #### Örnek kontroller MFA. Erişim kontrolü. PAM. Firewall. EDR. Şifreleme. Güvenlik farkındalığı. Güvenli yapılandırma. #### Örnek Bir kuruluşta MFA yalnızca bazı kullanıcılar için etkin. Yönetici hesaplarının bir kısmında MFA bulunmuyor. Bu durum kimlik güvenliği açısından öncelikli risk oluşturabilir. ### \9. Detect: Güvenlik Olaylarının Tespiti Detect fonksiyonu, potansiyel siber güvenlik olaylarının belirlenmesine odaklanır. #### Örnek kabiliyetler SIEM. EDR/XDR. Ağ izleme. Log analizi. Anomali tespiti. Tehdit istihbaratı. #### Örnek Kuruluş güvenlik loglarını topluyor ancak kritik sistemlerde oluşan alarmları düzenli değerlendirmiyor. Bu durumda log toplama kapasitesi mevcut olsa bile olay tespit olgunluğu sınırlı olabilir. ### \10. Respond: Olay Müdahale Respond fonksiyonu, tespit edilen güvenlik olaylarına uygun şekilde müdahale edilmesini kapsar. #### Temel süreçler Olay sınıflandırma. Eskalasyon. Müdahale. Koordinasyon. İletişim. Kanıt yönetimi. #### Örnek EDR kritik bir alarm oluşturuyor. Ancak alarmın hangi ekip tarafından ne kadar sürede değerlendirileceği tanımlanmamış. Bu durum olay müdahale süreçlerinde eksiklik gösterebilir. ### \11. Recover: Kurtarma ve İş Sürekliliği Recover fonksiyonu, olaylardan sonra hizmetlerin ve sistemlerin geri kazanılmasına odaklanır. #### Temel alanlar Yedekleme. Felaket kurtarma. Geri yükleme testleri. Kurtarma planları. Kriz iletişimi. #### Örnek Bir kuruluş günlük yedekleme yapıyor. Ancak son iki yılda geri yükleme testi gerçekleştirilmemiş. Yedekleme mevcut olsa bile kurtarma kabiliyeti doğrulanmamış olabilir. ### \12. NIST CSF 2.0 Fonksiyonlarına Göre Örnek Olgunluk Değerlendirmesi Aşağıdaki tablo, örnek bir kuruluşun değerlendirme sonuçlarını göstermektedir. | Fonksiyon | Mevcut seviye | Hedef seviye | | --- | --- | --- | | Govern | 2 | 4 | | Identify | 3 | 4 | | Protect | 3 | 4 | | Detect | 2 | 4 | | Respond | 2 | 4 | | Recover | 3 | 4 | #### Değerlendirme Kuruluşun koruyucu güvenlik kontrolleri belirli seviyede geliştirilmiş olabilir. Ancak yönetişim, tespit ve müdahale alanlarında daha fazla iyileştirmeye ihtiyaç duyulabilir. #### Önemli nokta Bu puanlar örnektir. Gerçek değerlendirme kanıtlara, görüşmelere ve teknik doğrulamaya dayanmalıdır. ### \13. ISO/IEC 27001 ile Olgunluk Analizi ISO/IEC 27001, bilgi güvenliği yönetim sisteminin oluşturulmasına yönelik uluslararası standarttır. Olgunluk analizi ise mevcut güvenlik süreçlerinin gelişmişlik seviyesini değerlendirmek için kullanılabilir. #### Ortak alanlar Risk yönetimi. Güvenlik politikaları. Erişim kontrolü. Olay yönetimi. İş sürekliliği. Tedarikçi güvenliği. İç denetim. #### Örnek ISO 27001 kapsamında risk değerlendirme prosedürü hazırlanmış olabilir. Olgunluk analizi, bu prosedürün ne kadar düzenli uygulandığını ve risklerin ne ölçüde güncellendiğini değerlendirebilir. #### Kritik nokta ISO 27001 belgesi, belirli bir beş seviyeli olgunluk puanına karşılık gelmez. ### \14. IEC 62443 ile Endüstriyel Siber Güvenlik Değerlendirmesi IEC 62443 standartlar ailesi, endüstriyel otomasyon ve kontrol sistemlerinin güvenliğine odaklanır. Özellikle enerji, üretim, ulaşım ve diğer OT/ICS ortamlarında önemlidir. #### Değerlendirme alanları OT varlık envanteri. Ağ segmentasyonu. Uzaktan erişim. Endüstriyel sistem risk analizi. Güvenli sistem mimarisi. Tedarikçi güvenliği. Olay yönetimi. #### İlgili standartlara örnekler **IEC 62443-2-1:** Varlık sahiplerinin endüstriyel güvenlik programı gereksinimleri. **IEC 62443-3-2:** Endüstriyel sistem risk değerlendirmesi ve sistem tasarımı. **IEC 62443-3-3:** Sistem güvenlik gereksinimleri ve güvenlik seviyeleri. **IEC 62443-4-1:** Güvenli ürün geliştirme yaşam döngüsü. **IEC 62443-4-2:** Endüstriyel otomasyon bileşenlerinin teknik güvenlik gereksinimleri. #### Önemli nokta IEC 62443 kapsamındaki Security Level kavramı, genel kurumsal olgunluk seviyeleriyle aynı değildir. ### \15. IT ve OT Olgunluk Analizi Arasındaki Fark | Konu | IT Ortamı | OT Ortamı | | --- | --- | --- | | Öncelik | Veri, sistem ve hizmet güvenliği | Güvenli ve kesintisiz fiziksel operasyon | | Varlıklar | Sunucu, uygulama, veritabanı | PLC, SCADA, HMI, kontrol sistemleri | | Yama yönetimi | Daha esnek olabilir | Operasyonel kısıtlar bulunabilir | | Test yaklaşımı | Kontrollü güvenlik testleri | Üretim güvenliği öncelikli değerlendirme | | Risk etkisi | Veri ve hizmet kaybı | Fiziksel süreç ve emniyet etkisi | #### Örnek Bir üretim tesisinde PLC sistemine doğrudan aktif güvenlik testi uygulanması operasyonel risk oluşturabilir. Bu nedenle OT güvenlik değerlendirmeleri uygun test yöntemleri, yetkilendirme ve operasyonel güvenlik önlemleriyle planlanmalıdır. ### \16. Siber Güvenlik Olgunluk Analizinde Hangi Alanlar İncelenir? Kuruluşun ihtiyaçlarına göre farklı değerlendirme alanları oluşturulabilir. #### Örnek alanlar - Güvenlik yönetişimi - Risk yönetimi - Varlık yönetimi - Kimlik ve erişim yönetimi - Ağ güvenliği - Uç nokta güvenliği - Güvenlik izleme - Olay müdahale - Zafiyet yönetimi - Uygulama güvenliği - Veri güvenliği - Bulut güvenliği - Yedekleme ve kurtarma - Tedarikçi güvenliği - Güvenlik farkındalığı Bu alanlar örnek bir değerlendirme yapısıdır. Her kuruluş için aynı ağırlıkların kullanılması uygun olmayabilir. ### \17. Ağ Güvenliği Olgunluğu Nasıl Ölçülür? Ağ güvenliği değerlendirmesi, mevcut ağ mimarisinin ve koruyucu kontrollerin etkinliğini inceler. #### Kontrol alanları Firewall mimarisi. Ağ segmentasyonu. VPN. IDS/IPS. Ağ erişim kontrolü. Yönetim erişimleri. Konfigürasyon yönetimi. #### Örnek olgunluk göstergeleri Firewall kuralları düzenli gözden geçiriliyor mu? Gereksiz erişimler kaldırılıyor mu? Kritik sistemler ayrıştırılmış mı? Ağ cihazlarının yönetim erişimleri sınırlandırılmış mı? #### Önemli nokta Güvenlik cihazlarının varlığı kadar doğru yapılandırılması ve düzenli yönetilmesi de önemlidir. ### \18. Kimlik ve Erişim Yönetimi Olgunluğu Kimlik ve erişim yönetimi, yetkisiz erişim risklerinin azaltılmasında önemli rol oynar. #### Kontrol alanları MFA. PAM. RBAC. Ayrıcalıklı hesaplar. Hesap yaşam döngüsü. Erişim gözden geçirmeleri. #### Örnek İşten ayrılan çalışanların hesapları zamanında kapatılmıyor. Bu durum erişim yönetimi olgunluğunun geliştirilmesi gerektiğini gösterebilir. #### Ölçüm göstergeleri MFA kapsama oranı. Ayrıcalıklı hesap envanteri. Zamanında kapatılan hesap oranı. Erişim gözden geçirme tamamlanma oranı. ### \19. SOC Olgunluk Analizi Nasıl Yapılır? SOC olgunluğu, güvenlik olaylarının tespit edilmesi, analiz edilmesi ve yönetilmesine yönelik operasyonel kabiliyetlerin değerlendirilmesidir. #### Değerlendirme alanları Log kaynakları. SIEM kullanım senaryoları. Alarm kalitesi. Tehdit istihbaratı. Olay eskalasyonu. Müdahale süreçleri. Raporlama. #### Örnek Kuruluş 7×24 izleme hizmeti alıyor. Ancak kritik alarmlar için müdahale sorumlulukları ve eskalasyon süreçleri tanımlanmamış. Bu durumda izleme hizmeti mevcut olsa bile olay yönetimi olgunluğu sınırlı kalabilir. ### \20. SIEM Olgunluğu Nasıl Ölçülür? SIEM değerlendirmesinde yalnızca lisans veya log kapasitesi incelenmemelidir. #### Kontrol soruları Kritik log kaynakları sisteme bağlı mı? Loglar zaman senkronizasyonuna sahip mi? Korelasyon kuralları mevcut mu? Yanlış pozitif alarmlar değerlendiriliyor mu? Kullanım senaryoları güncelleniyor mu? Alarmlar olay yönetimi sürecine aktarılıyor mu? #### Örnek SIEM sistemine 100 farklı log kaynağı bağlı olabilir. Ancak kritik saldırı senaryolarına yönelik etkin kurallar bulunmuyorsa güvenlik değeri sınırlı kalabilir. ### \21. EDR/XDR Olgunluğu Nasıl Değerlendirilir? EDR/XDR ürünleri uç nokta ve ilgili güvenlik olaylarının tespit edilmesini destekler. #### Değerlendirme alanları Ajan kapsama oranı. Politika yapılandırması. Alarm izleme. İzolasyon yetenekleri. Müdahale süreçleri. İstisna yönetimi. #### Örnek Kuruluşun 500 cihazı bulunuyor. EDR ajanı yalnızca 350 cihazda etkin. Bu durumda uç nokta kapsama oranı %70'tir. Ancak kapsam oranı tek başına etkinlik göstergesi değildir; ajan sağlığı ve müdahale kabiliyetleri de değerlendirilmelidir. ### \22. Zafiyet Yönetimi Olgunluğu Zafiyet yönetimi, güvenlik açıklarının sistematik biçimde belirlenmesini ve giderilmesini kapsar. #### Olgunluk göstergeleri Varlık kapsamı. Tarama düzenliliği. Risk temelli önceliklendirme. Düzeltme süreleri. Yeniden doğrulama. #### Örnek Kuruluş aylık zafiyet taraması gerçekleştiriyor. Ancak kritik bulguların kapatılma süresi ölçülmüyor. Bu durumda tarama faaliyeti mevcut olsa bile risk yönetimi süreçleri geliştirilmelidir. ### \23. Sızma Testi Olgunluğu Sızma testleri, teknik güvenlik kontrollerinin doğrulanmasına katkı sağlar. #### Değerlendirme alanları Test kapsamı. Test metodolojisi. Yetkilendirme. Bulgu yönetimi. Yeniden test. Risk kabul süreçleri. #### Örnek Yılda bir kez sızma testi gerçekleştiriliyor. Ancak test bulgularının kapatılması takip edilmiyor. Bu durumda test faaliyetinin risk azaltma etkisi sınırlı kalabilir. ### \24. Uygulama Güvenliği Olgunluğu Uygulama güvenliği, yazılım geliştirme yaşam döngüsünde güvenlik gereksinimlerinin uygulanmasını kapsar. #### Değerlendirme alanları Güvenli SDLC. Tehdit modelleme. SAST. DAST. SCA. API güvenliği. Kod inceleme. #### Örnek Bir yazılım ekibi uygulamayı üretime aldıktan sonra güvenlik testi yapıyor. Güvenlik kontrollerinin geliştirme sürecinin erken aşamalarına alınması olgunluğu artırabilir. ### \25. Veri Güvenliği Olgunluğu Veri güvenliği, kuruluşun kritik ve hassas bilgilerinin korunmasına odaklanır. #### Kontrol alanları Veri sınıflandırması. Şifreleme. DLP. Erişim kontrolü. Veri maskeleme. Saklama ve imha. Yedekleme. #### Örnek Kritik müşteri verileri test ortamına gerçek içerikleriyle aktarılıyor. Uygun maskeleme veya sentetik veri kullanımı değerlendirilmelidir. ### \26. Bulut Güvenliği Olgunluğu Bulut ortamlarında güvenlik sorumlulukları hizmet modeline göre değişebilir. #### Değerlendirme alanları IAM. Bulut yapılandırması. Loglama. Şifreleme. Ağ güvenliği. Yedekleme. Varlık görünürlüğü. #### Örnek Bir bulut depolama alanı yanlış yapılandırma nedeniyle genel erişime açılmış olabilir. Bulut güvenlik değerlendirmesi bu tür risklerin belirlenmesini destekler. ### \27. Yedekleme ve Felaket Kurtarma Olgunluğu Yedekleme, kuruluşun veri kaybı ve hizmet kesintisi risklerini azaltmasına yardımcı olur. #### Değerlendirme alanları Yedekleme kapsamı. Yedekleme sıklığı. Yedeklerin korunması. Geri yükleme testleri. Felaket kurtarma. RTO/RPO hedefleri. #### Örnek Kuruluş yedekleme yapıyor ancak fidye yazılımı saldırısında yedeklerin de silinmesini önleyecek yeterli ayrıştırma bulunmuyor. Bu durumda yedekleme mimarisi gözden geçirilmelidir. ### \28. Tedarikçi Güvenliği Olgunluğu Kuruluşlar birçok hizmeti üçüncü taraflardan alır. #### Değerlendirme alanları Tedarikçi envanteri. Risk sınıflandırması. Sözleşmesel güvenlik hükümleri. Erişim yönetimi. Olay bildirimi. Hizmet sonlandırma. #### Örnek Bir dış kaynak yazılım firması üretim veritabanına sürekli yönetici erişimine sahip. Bu erişim risk temelli olarak değerlendirilmelidir. ### \29. Siber Güvenlik Farkındalığı Olgunluğu Çalışan davranışları güvenlik risklerini doğrudan etkileyebilir. #### Değerlendirme alanları Farkındalık eğitimleri. Kimlik avı simülasyonları. Yeni çalışan eğitimi. Rol bazlı eğitimler. Olay bildirim kültürü. #### Örnek Çalışanlar şüpheli e-postaları hangi kanaldan bildireceklerini bilmiyor. Bu durum güvenlik farkındalığı ve olay bildirim süreçlerinde eksiklik gösterebilir. ### \30. Siber Güvenlik Olgunluk Puanı Nasıl Hesaplanır? Kuruluşlar değerlendirme amacıyla puanlama modeli oluşturabilir. #### Örnek Her alan 1 ile 5 arasında puanlanır. Ancak her alanın risk ağırlığı farklı olabilir. #### Ağırlıklı puanlama **Genel Olgunluk Puanı = Σ (Alan Puanı × Alan Ağırlığı) / Σ Alan Ağırlıkları** #### Örnek tablo | Alan | Puan | Ağırlık | | --- | --- | --- | | Yönetişim | 2 | %15 | | Risk yönetimi | 3 | %15 | | Ağ güvenliği | 3 | %15 | | SOC | 2 | %20 | | Erişim güvenliği | 3 | %15 | | İş sürekliliği | 2 | %20 | #### Hesaplama (2 × 0,15) + (3 × 0,15) + (3 × 0,15) + (2 × 0,20) + (3 × 0,15) + (2 × 0,20) #### Genel örnek olgunluk puanı: 2,45 / 5 #### Önemli nokta Bu puan, örnek bir kurum içi değerlendirme sonucudur. NIST, ISO veya IEC tarafından verilmiş resmî sertifikasyon derecesi değildir. ### \31. Olgunluk Puanı Nasıl Yorumlanır? Kuruluşlar örnek bir yorumlama ölçeği kullanabilir. | Puan aralığı | Örnek yorum | | --- | --- | | 1,00–1,79 | Başlangıç | | 1,80–2,59 | Gelişmekte | | 2,60–3,39 | Tanımlı | | 3,40–4,19 | Yönetilen | | 4,20–5,00 | Optimize | #### Önemli açıklama Bu aralıklar örnek değerlendirme metodolojisine aittir. Evrensel veya resmî NIST CSF puan aralıkları değildir. ### \32. Siber Güvenlik GAP Analizi Nasıl Yapılır? GAP analizi, mevcut kontrollerin hedef gereksinimlerle karşılaştırılmasıdır. #### Aşama 1: Kapsam İncelenecek sistemler ve süreçler belirlenir. #### Aşama 2: Referans çerçevesi NIST CSF. ISO 27001. IEC 62443. Uygulanabilir mevzuat. #### Aşama 3: Mevcut durum Dokümanlar incelenir. Görüşmeler yapılır. Teknik kontroller değerlendirilir. #### Aşama 4: Eksiklikler Eksik kontroller belirlenir. #### Aşama 5: Risk önceliklendirmesi Eksikliklerin iş etkisi değerlendirilir. #### Aşama 6: Yol haritası İyileştirme aksiyonları planlanır. ### \33. GAP Analizinde Kanıt Yönetimi Olgunluk değerlendirmesinin güvenilirliği kanıtlara bağlıdır. #### Örnek kanıtlar Politikalar. Risk kayıtları. Sistem yapılandırmaları. Loglar. Sızma testi raporları. Zafiyet raporları. Yedekleme testleri. Erişim gözden geçirme kayıtları. #### Örnek Bir kuruluş MFA kullandığını belirtiyor. Ancak kapsam ve yapılandırma bilgileri doğrulanamıyor. Bu durumda kontrolün etkinliği yalnızca beyana dayanarak doğrulanmış kabul edilmemelidir. ### \34. Siber Güvenlik Eksiklikleri Nasıl Önceliklendirilir? Bütün eksiklikler aynı seviyede risk oluşturmaz. #### Önceliklendirme kriterleri İş etkisi. İstismar olasılığı. Kritik sistem bağlantısı. Düzenleyici yükümlülük. Düzeltme maliyeti. Uygulama süresi. #### Örnek İnternete açık kritik sistemde MFA bulunmaması, düşük riskli bir iç dokümantasyon eksikliğinden daha yüksek önceliğe sahip olabilir. #### Kritik nokta Önceliklendirme yalnızca teknik zafiyet puanına göre yapılmamalıdır. İş etkisi ve mevcut tehdit koşulları da dikkate alınmalıdır. ### \35. Siber Güvenlik Yol Haritası Nasıl Hazırlanır? Yol haritası, mevcut güvenlik seviyesinden hedef seviyeye ulaşmak için gerekli faaliyetleri tanımlar. #### Yol haritasında bulunması gerekenler Aksiyon. Sorumlu. Öncelik. Tahmini efor. Bağımlılıklar. Hedef tarih. Başarı kriteri. #### Örnek | Aksiyon | Öncelik | Hedef | | --- | --- | --- | | Yönetici hesaplarında MFA | Kritik | İlk 30 gün | | Kritik varlık envanteri | Yüksek | İlk 45 gün | | SIEM kullanım senaryoları | Yüksek | 90 gün | | Felaket kurtarma testi | Yüksek | 120 gün | | SOC olgunluk değerlendirmesi | Orta | 180 gün | Bu süreler örnek planlama hedefleridir. ### \36. İlk 90 Günlük Siber Güvenlik İyileştirme Planı #### Gün 1–30 Kritik varlıkların belirlenmesi. Yüksek riskli erişimlerin değerlendirilmesi. MFA kapsamının incelenmesi. Kritik zafiyetlerin önceliklendirilmesi. #### Gün 31–60 Log kaynaklarının değerlendirilmesi. Olay müdahale prosedürlerinin hazırlanması. Yedekleme güvenliğinin incelenmesi. Tedarikçi erişimlerinin gözden geçirilmesi. #### Gün 61–90 SIEM kullanım senaryolarının geliştirilmesi. Güvenlik testlerinin planlanması. Olay müdahale tatbikatı. Yönetim raporlaması. #### Önemli nokta İlk 90 gün, kritik risklerin azaltılmasına ve temel süreçlerin güçlendirilmesine odaklanmalıdır. ### \37. 180 Günlük Güvenlik Gelişim Planı İlk 90 günde temel riskler ele alındıktan sonra operasyonel güvenlik kabiliyetleri geliştirilebilir. #### Örnek faaliyetler SOC süreçlerinin geliştirilmesi. Zafiyet yönetimi otomasyonu. PAM uygulamaları. Ağ segmentasyonu. Uygulama güvenliği süreçleri. Tedarikçi güvenliği değerlendirmeleri. Felaket kurtarma testleri. #### Hedef Güvenlik kontrollerinin yalnızca uygulanması değil, düzenli yönetilmesi ve ölçülmesi. ### \38. 12 Aylık Siber Güvenlik Stratejik Yol Haritası Uzun vadeli yol haritası, kuruluşun güvenlik olgunluğunu sürdürülebilir biçimde geliştirmeyi hedefler. #### Birinci çeyrek Kritik risklerin azaltılması. Temel güvenlik kontrolleri. #### İkinci çeyrek Operasyonel süreçlerin geliştirilmesi. SOC ve olay müdahale. #### Üçüncü çeyrek Güvenli yazılım geliştirme. Tedarikçi güvenliği. İleri güvenlik testleri. #### Dördüncü çeyrek Kontrol etkinliği değerlendirmesi. Olgunluk yeniden ölçümü. Yeni dönem yatırım planı. ### \39. Siber Güvenlik KPI ve KRI Göstergeleri Güvenlik performansının ölçülmesi, olgunluk değerlendirmesinin önemli bileşenidir. #### KPI örnekleri MFA kapsama oranı. Kritik zafiyet kapatma süresi. EDR kapsama oranı. Olay müdahale süresi. Yedek geri yükleme başarısı. #### KRI örnekleri Süresi geçmiş kritik zafiyet sayısı. İnternete açık yüksek riskli sistem sayısı. Korumasız kritik uç nokta oranı. Tek tedarikçiye bağımlı kritik hizmet sayısı. #### Önemli nokta KPI ve KRI hedefleri kuruluşun risk toleransı ve iş gereksinimleriyle uyumlu belirlenmelidir. ### \40. Siber Güvenlik Olgunluk Raporunda Neler Bulunmalıdır? Profesyonel bir olgunluk değerlendirme raporu, teknik ve yönetsel kararları desteklemelidir. #### Yönetici özeti Genel güvenlik durumu. Kritik riskler. Öncelikli aksiyonlar. #### Teknik değerlendirme Kontrol alanları. Olgunluk puanları. Kanıtlar. Eksiklikler. #### Risk analizi Kritik bulgular. Olası etkiler. Önerilen tedbirler. #### Yol haritası 90 günlük plan. 180 günlük plan. 12 aylık plan. #### Yönetim çıktısı Yatırım öncelikleri. Sorumluluklar. İlerleme göstergeleri. ### \41. Siber Güvenlik Olgunluk Analizinde Sık Yapılan Hatalar #### \1. Yalnızca ürün envanterine bakmak Ürünlerin etkinliği de değerlendirilmelidir. #### \2. Kanıt toplamamak Kontroller doğrulanmalıdır. #### \3. Her alana aynı ağırlığı vermek Risk temelli ağırlıklandırma yapılmalıdır. #### \4. Olgunluk puanını sertifika gibi sunmak Puanlama metodolojisinin niteliği açıkça belirtilmelidir. #### \5. Teknik ve yönetsel süreçleri ayırmak Güvenlik yönetimi bütüncül ele alınmalıdır. #### \6. Yol haritası oluşturmamak Değerlendirme somut iyileştirme aksiyonlarına dönüştürülmelidir. #### \7. Tekrar değerlendirme yapmamak Olgunluk zaman içinde yeniden ölçülmelidir. #### \8. Kritik iş fonksiyonlarını dikkate almamak Değerlendirme iş etkisiyle ilişkilendirilmelidir. ### \42. SECURESYS Siber Güvenlik Olgunluk ve GAP Analizi Danışmanlığı SECURESYS, kuruluşların mevcut siber güvenlik seviyelerini değerlendirmelerine ve risk temelli iyileştirme yol haritaları oluşturmalarına yönelik teknik danışmanlık hizmetleri sunar. #### Siber Güvenlik Olgunluk Değerlendirmesi Güvenlik yönetişimi, teknik kontroller ve operasyonel süreçler değerlendirilir. #### NIST CSF 2.0 GAP Analizi Kuruluşun mevcut güvenlik kabiliyetleri NIST CSF fonksiyonlarıyla ilişkilendirilir. #### ISO 27001 GAP Analizi Bilgi güvenliği yönetim sistemi süreçleri ve ilgili kontroller değerlendirilir. #### IEC 62443 Danışmanlığı Endüstriyel otomasyon ve kontrol sistemlerinde güvenlik gereksinimleri, riskler ve teknik kontroller incelenir. #### SOC Olgunluk Analizi Güvenlik izleme, olay tespit ve müdahale süreçleri değerlendirilir. #### Sızma Testleri Teknik güvenlik kontrollerinin etkinliği yetkilendirilmiş testlerle doğrulanabilir. #### Kaynak Kod Güvenliği Kritik uygulamaların güvenli geliştirme ve test süreçleri değerlendirilebilir. #### Siber Güvenlik Yol Haritası Kuruluşun risklerine ve hedeflerine göre önceliklendirilmiş iyileştirme planı hazırlanabilir. **SECURESYS yaklaşımında siber güvenlik olgunluk değerlendirmesinin temel amacı yalnızca puan üretmek değil; kuruluşun gerçek risklerini azaltan, ölçülebilir ve sürdürülebilir güvenlik iyileştirmeleri oluşturmaktır.** #### Sık Sorulan Sorular (SSS) #### \1. Siber güvenlik olgunluk modeli nedir? Kuruluşun güvenlik süreçlerini ve teknik kabiliyetlerini belirli kriterlere göre değerlendiren yaklaşımdır. #### \2. Siber güvenlik olgunluk analizi neden yapılır? Mevcut güvenlik seviyesini ölçmek, eksiklikleri belirlemek ve iyileştirme yatırımlarını planlamak için yapılır. #### \3. GAP analizi nedir? Mevcut durum ile hedef gereksinimler arasındaki eksikliklerin belirlenmesidir. #### \4. Olgunluk analizi ile GAP analizi aynı mı? Hayır. GAP analizi eksikliklere, olgunluk analizi süreçlerin gelişmişlik seviyesine odaklanır. #### \5. NIST CSF 2.0 nedir? Siber güvenlik risklerinin yönetilmesine yardımcı olan NIST çerçevesidir. #### \6. NIST CSF 2.0 kaç fonksiyondan oluşur? Govern, Identify, Protect, Detect, Respond ve Recover olmak üzere altı fonksiyondan oluşur. #### \7. Siber güvenlik olgunluğu kaç seviyedir? Kullanılan modele göre değişir. Kuruluşlar örneğin beş seviyeli bir değerlendirme yaklaşımı oluşturabilir. #### \8. ISO 27001 belgesi olgunluk seviyesi gösterir mi? Hayır. ISO 27001 sertifikasyonu doğrudan belirli bir olgunluk puanı ifade etmez. #### \9. IEC 62443 olgunluk analizinde kullanılabilir mi? Evet. Özellikle OT/ICS güvenlik değerlendirmelerinde ilgili gereksinimler referans alınabilir. #### \10. SOC olgunluk analizi nedir? Güvenlik olaylarının izlenmesi, tespiti ve müdahale süreçlerinin değerlendirilmesidir. #### \11. SIEM olgunluğu nasıl ölçülür? Log kapsamı, kullanım senaryoları, alarm kalitesi ve olay yönetimi gibi alanlar incelenir. #### \12. EDR olgunluğu nasıl değerlendirilir? Ajan kapsama oranı, politika yapılandırması, alarm izleme ve müdahale kabiliyetleri değerlendirilir. #### \13. Siber güvenlik olgunluk puanı nasıl hesaplanır? Seçilen değerlendirme modeline göre kontrol alanları puanlanabilir ve risk temelli ağırlıklandırma uygulanabilir. #### \14. Olgunluk analizi ne kadar sürer? Kuruluşun büyüklüğüne, sistem sayısına ve değerlendirme kapsamına göre değişir. #### \15. Olgunluk analizi yılda kaç kez yapılmalıdır? Kuruluşun risklerine ve değişim hızına göre belirlenmelidir. Düzenli yeniden değerlendirme yararlıdır. #### \16. GAP analizi için hangi dokümanlar gerekir? Risk kayıtları, politikalar, sistem envanteri, güvenlik raporları ve ilgili teknik kanıtlar değerlendirilebilir. #### \17. Siber güvenlik yol haritası nedir? Güvenlik eksikliklerinin giderilmesi için hazırlanan önceliklendirilmiş aksiyon planıdır. #### \18. Küçük şirketler olgunluk analizi yapabilir mi? Evet. Değerlendirme kapsamı şirketin büyüklüğüne ve risklerine göre uyarlanabilir. #### \19. Olgunluk analizi sızma testinin yerine geçer mi? Hayır. Sızma testi teknik güvenlik açıklarını değerlendirir; olgunluk analizi daha geniş güvenlik süreçlerini inceler. #### \20. Siber güvenlik olgunluk danışmanlığı ne sağlar? Mevcut güvenlik seviyesinin değerlendirilmesini, eksikliklerin belirlenmesini ve uygulanabilir iyileştirme yol haritasının hazırlanmasını destekler. ### Sonuç: Siber Güvenlik Olgunluğu Nasıl Artırılır? Siber güvenlik olgunluğu, yalnızca yeni teknolojiler satın alınarak artırılamaz. Kuruluşların öncelikle kritik iş süreçlerini ve varlıklarını belirlemesi gerekir. Mevcut güvenlik kontrolleri değerlendirilmelidir. Güvenlik riskleri analiz edilmelidir. Eksiklikler kanıtlarla doğrulanmalıdır. Risk temelli önceliklendirme yapılmalıdır. İyileştirme faaliyetleri sorumlular ve hedef tarihlerle planlanmalıdır. Kontrollerin etkinliği ölçülmelidir. Olgunluk değerlendirmesi düzenli olarak tekrarlanmalıdır. **Siber güvenlik olgunluğunun temel göstergesi, kuruluşun kaç güvenlik ürünü kullandığı değil; risklerini ne kadar etkin yönettiği, olayları ne kadar hızlı tespit ettiği ve kritik hizmetlerini ne kadar güvenli sürdürebildiğidir.** ### Resmî Kaynaklar ve Referanslar **NIST Cybersecurity Framework 2.0:** https://www.nist.gov/cyberframework **NIST CSF 2.0 – Resmî Yayın:** https://doi.org/10.6028/NIST.CSWP.29 **ISO/IEC 27001:** https://www.iso.org/standard/27001 **IEC – International Electrotechnical Commission:** https://www.iec.ch **CISA – Cybersecurity Performance Goals:** https://www.cisa.gov/cross-sector-cybersecurity-performance-goals